Klinické hodnocení a ochrana osobních údajů: nové upozornění SÚKL

Státní ústav pro kontrolu léčiv („SÚKL“) nyní vydal upozornění pro zadavatele klinických studií v souvislosti s nařízením GDPR, ve kterém zadavatele upozornil, aby spolu s žádostí o povolení/ohlášení klinického hodnocení nepředkládali dokumenty týkající se zpracování a zajištění ochrany osobních údajů. I přes toto prohlášení však v této oblasti zůstává mnoho nezodpovězených otázek, zejména potom právní základ a bližší právní vymezení předávání osobních údajů subjektů klinického hodnocení mezi zkoušejícími a zadavatelem.

Upozornění SÚKL pro zadavatele klinických hodnocení

Dne 30. 7. 2018 SÚKL na svých stránkách zveřejnil upozornění[1], aby zadavatelé spolu s žádostí o povolení/ohlášení klinického hodnocení nepředkládali dokumenty týkající se zpracování a zajištění ochrany osobních údajů. Tyto SÚKL posuzovat nebude.

Etickým komisím a subjektům údajů mají být dokumenty týkající se zpracování a zajištění ochrany osobních údajů předány jako samostatné dokumenty. Etickým komisím je navíc nutno zvlášť předložit také prohlášení, že při předávání dat bude zajištěna ochrana osobních údajů požadovaná nařízením GDPR. Etické komise se však k těmto dokumentům vyjadřovat nebudou.

Upozornění v kontextu vyjádření Úřadu pro ochranu osobních údajů

V tomto směru již v květnu tohoto roku Úřad pro ochranu osobních údajů („ÚOOÚ“) publikoval prohlášení, že „nelze směšovat souhlas k provedení klinické studie na pacientech nebo zdravých dobrovolnících a souhlas ke zpracování osobních údajů“ a že zpracování osobních údajů podle platné legislativy je odpovědností správce.

Pokud však jde o možnost zpracovávat v rámci klinického hodnocení osobní údaje i bez souhlasu pro vědecké účely [srov. čl. 9 odst. 2 písm. j) nařízení GDPR], ÚOOÚ na svých stránkách pouze uvádí, že tato otázka zůstává zcela nevyjasněna, a odkazuje na připravovanou adaptační legislativu (tedy na Parlamentem projednávaný návrh zákona o zpracování osobních údajů), která by měla přinést jasnější odpovědi.

Právní základ zpracování

Přestože je na stránkách SÚKL uvedeno, že pro inspektory správné klinické praxe (GCP) nebude rozhodný obsah souhlasu se zpracováním osobních údajů, ale skutečnost, že subjektu hodnocení byla předána informace o právním základu zpracování osobních údajů, je na webu SÚKL také zmíněno, že samotná zákonnost zpracování může pravděpodobně vycházet zejména z čl. 6 odst. 1 písm. c), e) nebo f) nařízení GDPR (plnění právní povinnosti, úkolu prováděného ve veřejném zájmu nebo pro účely oprávněných zájmů v případě obecného zpracování osobních údajů) ve spojení s čl. 9 odst. 2 písm. i) nebo j) nařízení GDPR (zpracování zvláštních kategorií osobních údajů je nezbytné z důvodů veřejného zájmu v oblasti veřejného zdraví anebo pro účely vědeckého výzkumu).

Osobní údaje tak v klinických hodnoceních lze zpracovávat nejen výlučně z titulu souhlasu subjektu údajů, ale je možné užít, s ohledem na konkrétní zpracování, všech výše uvedených právních titulů. Výběr právního titulu se nicméně ponechává na odpovědnosti správce osobních údajů. Jeho jednoznačné určení je však nutné.

Nejasný výklad při předávání osobních údajů

I po upřesňujícím upozornění ze strany SÚKL tak stále zůstává nezodpovězena otázka předávání osobních údajů mezi zkoušejícími a zadavatelem, když SÚKL ani ÚOOÚ nenabízejí bližší argumentaci, který z výše zmíněných právních základů a za jakých okolností či při splnění kterých podmínek by byl pro české dozorové orgány akceptovatelný.

Evropská léková agentura („EMA“) v tomto směru sice již dříve publikovala názor[2], ve kterém upozornila, že při předávání osobních údajů mezi zkoušejícím a zadavatelem je nutno respektovat ochranu osobních údajů subjektů klinického hodnocení, avšak ani EMA nestanovuje či příkladem nenaznačuje, na jakém základě má takové předání probíhat. Pouze odkazuje na vnitrostátní předpisy v příslušných členských státech. Česká legislativa však v tomto ohledu konkrétní odpovědi nenabízí.

Klinické hodnocení v členských státech EU

Otázka zpracování osobních údajů při klinickém hodnocení je diskutována napříč celou Evropskou unií. A je patrné, že názory se mezi členskými státy EU různí, což má pochopitelně negativní dopad na multicentrická klinická hodnocení prováděná paralelně v různých členských státech.

Příkladem může být srovnání Velké Británie, Nizozemska a Německa. Nizozemsko i Německo se v současné době přiklánějí spíše k variantě, kdy je i v rámci klinického hodnocení nutné pro zpracování osobních údajů vždy získat od subjektů údajů souhlas se zpracováním.

Naproti tomu ve Velké Británii aktuálně převládá názor, že v tomto případě není souhlas nejlepší volbou a že při zpracování zvláštních kategorií osobních údajů je vhodnější využít jako základ zpracování nezbytné z důvodů veřejného zájmu v oblasti veřejného zdraví anebo pro účely vědeckého výzkumu.

Závěr

Závěrem je vhodné dodat, že publikované upozornění SÚKL představuje dlouho očekávané vyjádření ze strany českých státních orgánů, avšak přes výčet možných ustanovení aplikovatelných v případě zpracování osobních údajů v souvislosti s klinickým hodnocením neposkytuje žádná konkrétní vodítka, jak tento výběr provést, a SÚKL ani ÚOOÚ se k žádné z nabízených variant výslovně nepřiklánějí.

I přes uvedení čl. 9 odst. 2 písm. i) a j) nařízení GDPR (britská varianta) ve výčtu SÚKL se tak zřejmě i nadále z důvodu vyšší právní jistoty zadavatelů a zkoušejících budeme setkávat se získáváním souhlasu od pacientů, byť tím automaticky narážíme na možné negativní následky či neřešitelné situace v případě, kdy pacient svůj souhlas odvolá, aniž by současně požádal o ukončení účasti v klinické studii. Pozitivní zprávou by tak mohlo být alespoň to, že SÚKL nebude posuzovat soulad dokumentů s požadavky nařízení GDPR, což by mohlo SÚKL usnadnit práci a celý proces tím urychlit.